MetaMask rút khỏi vai trò trình xác thực, hàng chờ rút stake trên Ethereum lên mức cao nhất 9 tháng

MetaMask đang rút các trình xác thực (validator) khỏi Ethereum sau một sự cố khiến phần thưởng phí giao dịch bị chuyển hướng. Nhà nghiên cứu an ninh on-chain Kaden cho biết khoảng 17.000 validator do MetaMask vận hành, nắm giữ xấp xỉ 523.000 ETH, đã được chủ động cho thoát (exit). Theo Kaden, phân tích cho thấy phần thưởng phí từ 18 trong số 19 validator có đề xuất khối đã bị chuyển tới một địa chỉ được cấp vốn thông qua Tornado Cash. Kaden ước tính kẻ tấn công dường như chỉ thu được khoảng 0,36 ETH. MetaMask chưa xác nhận các con số của Kaden và cũng chưa công bố nguyên nhân vụ việc. MetaMask cho biết một phần hạ tầng của họ đã bị xâm phạm và công ty đang cho thoát các validator liên quan như một biện pháp phòng ngừa, đồng thời phối hợp với khách hàng, đối tác và các cố vấn bảo mật. MetaMask nói chưa ghi nhận mối đe dọa tức thời đối với ví MetaMask. Công ty nhấn mạnh hoạt động staking của mình là noncustodial và không nắm giữ khóa rút (withdrawal keys) của khách hàng. Một kẻ tấn công chỉ có quyền ở cấp validator sẽ không thể rút phần stake gốc, nhưng nếu khóa ký (signing keys) bị lộ, validator có thể đối mặt rủi ro bị phạt nếu bị sử dụng sai mục đích. Kaden cho biết vẫn còn 821 validator có khả năng bị ảnh hưởng chưa thoát, gồm ba validator bị cáo buộc đã bị chuyển hướng phần thưởng phí. Hiện chưa rõ vì sao các validator này vẫn hoạt động hoặc liệu kẻ tấn công có thể tiếp tục thay đổi địa chỉ nhận phí hay không. MetaMask chưa công bố số lượng validator bị ảnh hưởng, liệu khóa ký có bị lộ hay không, hoặc có xảy ra slashing hay không. Dữ liệu từ Validator Queue cho thấy khoảng 773.447 ETH đang chờ rời khỏi tập validator của Ethereum vào ngày thứ Tư, tương ứng thời gian chờ exit ước tính 13 ngày 10 giờ. Validator Queue cũng ước tính độ trễ cho đợt "withdrawal sweep" tiếp theo ở mức 7,6 ngày. Theo Validator Queue, lượng tồn đọng này là lớn nhất kể từ tháng 12/2025 và vượt mức khoảng 476.000 ETH từng chờ rút trong đợt tăng vọt trước đó vào tháng 5. Ethereum giới hạn tốc độ stake vào/ra tập validator nhằm tránh những thay đổi đột ngột có thể làm mất ổn định cơ chế đồng thuận proofofstake. Validator Queue ghi nhận tốc độ xử lý exit là 256 ETH mỗi epoch, với mỗi epoch kéo dài khoảng 6,4 phút. Thời gian "withdrawal sweep" ước tính 7,6 ngày bắt đầu sau khi các validator đã exit trở nên có thể rút (withdrawable); khi đó Ethereum sẽ chuyển số dư về các địa chỉ rút đã được chỉ định. Lido, nền tảng nơi MetaMask vận hành validator, ước tính toàn bộ quy trình exit, rút và tái tham gia có thể mất tới 45 ngày. Các validator quay lại Ethereum sẽ phải vào hàng chờ nạp (entry queue), hiện dài 27 ngày.